🇰🇷 한글 설명
microsandbox 0.5.10 미만 버전에서 네트워크 설정 및 환경 변수 비밀값이 프로세스 인자(argument)를 통해 노출되는 취약점이 발견되었습니다. 로컬 사용자나 동일 호스트의 다른 프로세스가 /proc 파일 시스템 등을 통해 API 키나 토큰과 같은 민감한 정보를 읽을 수 있습니다.
💡 쉬운 설명
프로그램을 실행할 때 비밀번호나 열쇠를 명령창에 그대로 적어두어, 컴퓨터를 같이 쓰는 다른 사람이 이를 훔쳐볼 수 있는 문제입니다. 이로 인해 중요한 보안 키가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
microsandbox is an easy, fast, local-first microVM runtime and library. Prior to 0.5.10, sdk/rust/lib/runtime/spawn.rs serializes NetworkConfig secret values into the --network-config argument and passes per-sandbox secrets through repeated --env arguments accepted by crates/cli/lib/sandbox_cmd.rs. Other local users or co-resident processes can read these values through the host process table, including /proc process command lines on Linux and process listings on Linux and macOS, for the lifetime of the sandbox. Exploitation does not require code execution inside the sandbox or access to the spawning user's session, and can disclose host-side API keys, tokens, and environment secrets on shared hosts, CI runners, and developer systems. This issue is fixed in version 0.5.10.
📍 영향받는 시스템
microsandbox version < 0.5.10
⚔️ 공격 벡터
동일 호스트 내의 로컬 사용자 또는 프로세스가 프로세스 목록(/proc 등)을 조회하여 민감한 인자값 탈취
🛡️ 대응 방법
microsandbox를 0.5.10 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 0.5.10 미만이면 취약한 상태이며, 0.5.10 이상이면 안전합니다.
cargo pkgid microsandbox 2>/dev/null | grep -oE 'microsandbox@v[0-9]+\.[0-9]+\.[0-9]+' || echo 'Not installed'
📊 CVSS Vector String
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N
💻 영향받는 소프트웨어
NVIDIA Cloud Gaming Guest Driver for Linux